テクノロジー・リスクとサイバー衛生
DPTライセンス保有者のAML/CFT統制はテクノロジーの上で稼働しており、シンガポール金融管理局（MAS）はそのテクノロジーを2つの通達と1つのガイドラインによって規制しています。これらは実務上、AMLプログラムと切り離せないものです。
テクノロジー・リスク管理に関するMAS Notice PSN05は、決済サービス事業者に法的拘束力のある要件を課しています。企業は、重要システムを特定するための枠組みを備えなければなりません。各重要システムの予定外の停止時間は、直近12か月の期間内で4時間を超えてはならず、目標復旧時間は4時間としなければなりません。該当するインシデントを発見した場合は1時間以内にMASに通知し、14日以内に根本原因に関する報告書を提出しなければなりません。1 サイバー衛生に関するMAS Notice PSN06は、6つの基本的措置を課しています。管理者アカウントの保護、セキュリティ・パッチの速やかな適用、書面によるセキュリティ基準の策定、ネットワーク境界防御の実装、マルウェア対策の導入、そして管理者アクセスおよび顧客情報へのアクセスにおける多要素認証の使用です。2 2021年1月のテクノロジー・リスク管理ガイドライン（Technology Risk Management Guidelines）は、それ以外のすべてについて、拘束力はないものの検査の対象となる基準を定めています。対象は、ガバナンス、ソフトウェア開発、第三者管理、インシデント対応、アクセス管理、暗号鍵管理、ペネトレーション・テストに及びます。3
DPT企業にとって、TRMガイドラインの鍵管理に関する節は特に重要です。企業の秘密鍵は顧客の資産そのものだからです。MASは、文書化された鍵生成セレモニーと、ハードウェア・セキュリティ・モジュール（HSM）またはそれと同等のものを期待しています。また、一人の人物が顧客資金を移動できないようにするための職務分掌、資産の大部分を対象とするコールドストレージの体制、検証済みの復旧手続も期待しています。これらは第K部第II章に基づくカストディ要件でもあり、MASはこれらを一つのテーマとして検査します。ハッキングはAML上の事象でもあります。窃取されたトークンは企業のウォレットを通じて流出します。企業はそれを追跡し、PSN03およびCDSA第45条に基づいて報告し、警察や他の取引所と協力して凍結しなければなりません。技術的な復旧のみを対象とし、規制当局への報告とオンチェーンの追跡を含まないインシデント対応計画は不完全です。第Q部第II章には、ハッキング後の最初の72時間のためのチェックリストを掲載しています。
注
- MAS Notice PSN05, Technology Risk Management。Payment Services Act 2019に基づき発出。重要システムの特定、予定外停止時間の上限4時間、1時間以内のインシデント通知、14日以内の根本原因報告に関する各項。 ↩
- MAS Notice PSN06, Cyber Hygiene。Payment Services Act 2019に基づき発出。6つのサイバー衛生要件に関する第4項～第9項。 ↩
- MAS, Technology Risk Management Guidelines, 18 January 2021、特に暗号鍵管理に関する第10節およびアクセス管理に関する第12節。 ↩
このページは一般的な情報提供のみを目的としています。本記事は法律上または税務上の助言ではなく、個別の案件に関する助言に代わるものでもありません。また、弁護士と依頼者の関係を生じさせるものではありません。10月 2026時点の法状況に基づいています。